נוזקת Android חדשה בשם RemControl גונבת פרטי בנקאות דרך אפליקציית IPTV מזויפת

חוקרים מ-Group-IB חשפו פלטפורמת נוזקה-כשירות (MaaS) חדשה לאנדרואיד בשם RemControl, שמופצת דרך פרסומות מתחזות לאפליקציית הסטרימינג TVTap וגונבת פרטי בנקאות באמצעות חלונות עליונים מזויפים. התשתית פעילה לפחות מאז מאי 2026 ופוגעת בעיקר במשתמשים באירופה, קנדה ומדינות במזרח התיכון.

איור של סמארטפון עם מנעול שבור וחלון עליון החושף סמל כרטיס בנקאות

הפרטים

הקורבנות מגיעים לדפי הורדה מזויפים שמתחזים לחנות Google Play דרך פרסומות ברשת Meta, כשחלק מהקמפיינים משתמשים בסינון לפי מיקום גיאוגרפי וזיהוי דפדפן נייד כדי להציג את הדף הזדוני רק ליעדים רלוונטיים. לאחר ההתקנה הנוזקה מבקשת הרשאת Accessibility Service, ובאמצעותה מציגה מעל אפליקציות בנקאות לגיטימיות למעלה מ-30 חלונות פישינג שונים שנועדו לגנוב קודי PIN, פרטי כרטיס אשראי וסיסמאות. הנוזקה גם מפעילה חיבור VPN שחוסם את תעבורת Google Play, ובכך מונע מ-Play Protect לבצע בדיקה בזמן אמת, ומקבלת עדכוני שרת שליטה מוצפנים דרך ערוצי Telegram כדי לשרוד השבתת תשתית.

לפי Group-IB, הנוזקה מסוגלת גם ללכוד קואורדינטות של קוד נעילת תבנית במכשירי Samsung, Xiaomi, Huawei, OPPO ו-OnePlus. החוקרים מייחסים את התפעול לגורם המכונה UNKK, עם חשד לזיקה לנוזקת הבנקאות Medusa.

נקודות לשים לב

הימנעו מהתקנת קבצי APK מחוץ ל-Google Play הרשמי, במיוחד דרך קישורים מפרסומות לאפליקציות סטרימינג או IPTV.
סרבו לבקשת הרשאת Accessibility Service מאפליקציה שאין לה צורך פונקציונלי ברור בכך — זו נקודת הכניסה המרכזית של RemControl.
אם אפליקציה חדשה מבקשת להפעיל חיבור VPN בלי הסבר, בדקו למה — זה עלול לשמש לחסימת בדיקות אבטחה ברקע.
ודאו ש-Google Play Protect פעיל ומעודכן, והריצו סריקה ידנית אם התקנתם לאחרונה אפליקציה ממקור לא מוכר.
חלון שמבקש קוד PIN או פרטי כרטיס בזמן שימוש באפליקציית בנק — כשהוא מופיע בלי הקשר ברור בתוך האפליקציה עצמה — הוא סימן אזהרה לחלון עליון זדוני.